Greatness フィッシング サービスが RingCentral になりすまして Microsoft 365 アカウントを盗む

フィッシング サービス「Greatness」は現在、RingCentral を装い、Adversary-in-the-Middle 攻撃やデバイス コード攻撃を用いて Microsoft 365 アカウントを窃取しています。

Greatness は当初、従来型の認証情報窃取型フィッシング サービスとして運営されていました。その後、認証トークンを取得し、一部の多要素認証を回避できる、より広範なプラットフォームへと進化しました。

キャンペーンは主に米国、カナダ、英国、オーストラリア、南アフリカのユーザーを標的としてきました。また、このプラットフォームは Microsoft 365 以外にも、iCloud、Yahoo、Google Workspace アカウントに対する攻撃をサポートするよう拡大しています。

攻撃者は RingCentral の通知を偽装

ZeroBEC の研究者は、Greatness の運営者が RingCentral の信頼された地位を悪用してメール セキュリティ保護を回避していることを確認しました。

攻撃者は service@ringcentral[.]com アドレスをなりすまし、正規の RingCentral 顧客に悪意のあるメールを送信しました。メッセージはボイスメール通知や従業員の業績評価アラートとして表示されました。

各メールには、送信者が組織の差出人セーフ リストを通じて承認を受けたと主張する虚偽の通知が含まれていました。このメッセージにより、メールがより信頼できるように見え、受信者が埋め込まれたボタンをクリックするように促されました。

ZeroBEC によると、Microsoft Exchange はこれらのメッセージに Spam Confidence Level -1 を割り当てました。この分類により、メールは通常のスパム フィルタリングを回避することができました。

Greatness が Microsoft 365 認証トークンを窃取

悪意のあるボタンをクリックすると、被害者は Greatness の運営者が管理するインフラストラクチャにリダイレクトされました。

一部の被害者は Microsoft の Adversary-in-the-Middle フィッシング ページに到達しました。このページは、ユーザーが MFA 要求を完了した後に認証トークンを取得しました。

他の被害者はデバイス コード フィッシング プロセスに入り、Microsoft の正規の認証システムを通じて攻撃者が制御するセッションを承認するよう誘導されました。

アクセスを取得した後、攻撃者は盗み出した Microsoft 365 トークンを仮想プライベート サーバーや商用 VPN サービスを通じて再利用しました。これにより、標準のサインインを再度完了することなく、侵害されたアカウントに侵入することが可能になりました。

攻撃者はメール、Teams チャット、クラウド ファイルを検索

攻撃者はアカウントを侵害した後、Outlook のメールボックスと Microsoft Teams の会話を検索しました。

また、SharePoint サイト、OneDrive ファイル、連絡先、予定表、登録済みアプリケーションにもアクセスしました。情報の多くは Microsoft Graph を通じて収集されました。

一部のケースでは、不正アクセスが 2 週間以上にわたってアクティブな状態を維持し、攻撃者に機密性の高いビジネス情報を検索し、さらなる標的を特定する時間を与えました。

研究者が RingCentral 侵害との関連性の可能性を調査

RingCentral は最近、ShinyHunters 脅威グループによって主張された別のデータ侵害を確認しました。同社は、このインシデントが限られた数の顧客の情報に影響を与えたとし、直接連絡を取っていると述べました。

ZeroBEC は、Greatness のユーザーがその侵害から有効な RingCentral 顧客のリストを入手した可能性があると考えています。しかし、研究者らはこれらのインシデント間の直接的な関連性を確認できませんでした。

組織はメールの許可リストを見直すべき

セキュリティ チームは、過度に広範な例外がないか、差出人セーフ リストとメール許可リストを確認する必要があります。組織は、包括的なドメイン除外を、有効な SPF、DKIM、DMARC 認証も要求するルールに置き換えるべきです。

管理者はまた、ホスティング プロバイダー、仮想プライベート サーバー、または商用 VPN アドレスからの、MFA が承認された Microsoft 365 への異常なサインインを調査する必要があります。

管理者が侵害を疑う場合は、アクティブなアクセスと更新トークンを直ちに取り消すべきです。また、OAuth アクセス許可、Microsoft Graph アクティビティ、登録済みアプリケーション、および Microsoft 365 サービス全体のアクセスを確認する必要があります。

他のセキュリティ ニュースでは、Microsoft が世界的なホテル Wi-Fi マルウェア キャンペーンを発見し、NuGet API キーの有効期間を 30 日間に制限しました。

また、マルウェアが Google パスキーを盗み出す新たな手法を発見しており、パスワードレス認証システムのセキュリティに対するさらなる懸念が高まっています。

Via BleepingComputer